Povinnosti zamestnávateľa

a ochrana osobných údajov

Zamestnávateľ vykonávajúci spracovanie miezd a personálnej agendy prichádza do neustáleho kontaktu s osobnými údajmi jednotlivých zamestnancov. Preto musí pri svojej činnosti dodržiavať ustanovenia zákona č. 18/­2018 Z. z. o ochrane osobných údajov v znení neskorších predpisov. Dotknutou osobou na účely ochrany osobných údajov je každá fyzická osoba, ktorej sa osobné údaje týkajú.

DOTKNUTOU OSOBOU MÔŽE BYŤ VÝLUČNE LEN FYZICKÁ OSOBA, nie je pritom rozhodujúce, či ide o občana Slovenskej republiky alebo cudzinca. Ochrana súkromia a osobných údajov fyzických osôb pri ich spracúvaní predstavuje citlivú oblasť v rámci základných ľudských práv a slobôd garantovaných Ústavou Slovenskej republiky.

OSOBNÉ ÚDAJE MÔŽE SPRACÚVAŤ IBA PREVÁDZKOVATEĽ A SPROSTREDKOVATEĽ. Spracúvanie možno vykonávať len spôsobom ustanoveným zákonom a v jeho medziach tak, aby nedošlo k porušeniu základných práv dotknutých osôb, najmä k porušeniu ich práva na zachovanie ľudskej dôstojnosti alebo k iným neoprávneným zásahom do ich práva na ochranu súkromia.

SPRACÚVANIE OSOBNÝCH ÚDAJOV V MZDOVEJ A PERSONÁLNEJ PRAXI je podľa § 13 zákona o ochrane osobných údajov zákonné, ak sa vykonáva na základe aspoň jedného z týchto právnych základov:

–   dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov aspoň na jeden konkrétny účel,

–   spracúvanie osobných údajov je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo na vykonanie opatrenia pred uzatvorením zmluvy na základe žiadosti dotknutej osoby,

–   spracúvanie osobných údajov je nevyhnutné podľa osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná.

Zákon v § 16 zakazuje spracúvanie osobitných kategórií osobných údajov, ktorými sú údaje, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženskú vieru, filozofické presvedčenie, členstvo v odborových organizáciách, genetické údaje, biometrické údaje, údaje týkajúce sa zdravia alebo údaje týkajúce sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.

Tento zákaz neplatí, ak je spracúvanie nevyhnutné na účel plnenia povinností a výkonu osobitných práv prevádzkovateľa alebo dotknutej osoby v oblasti pracovného práva, práva sociálneho zabezpečenia, sociálnej ochrany alebo verejného zdravotného poistenia, medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, alebo podľa kolektívnej zmluvy, ak poskytujú primerané záruky ochrany základných práv a záujmov dot­knutej osoby. Zákaz tiež neplatí v prípade, ak dotknutá osoba vyjadrila výslovný súhlas so spracúvaním osobných údajov aspoň na jeden konkrétny účel.

Osobné údaje môže vo vlastnom mene spracúvať vždy len prevádzkovateľ. V záujme zachovania ochrany osobných údajov pri ich spracúvaní je prevádzkovateľ povinný najmä určiť, kto je prevádzkovateľom, prípadne sprostredkovateľom a vymedziť ich vzájomný vzťah prostredníctvom písomnej zmluvy a určiť podmienky (prostriedky a spôsob) spracúvania osobných údajov.

Sprostredkovateľ nesmie poveriť spracúvaním osobných údajov ďalšieho sprostredkovateľa bez predchádzajúceho osobitného písomného súhlasu prevádzkovateľa alebo všeobecného písomného súhlasu prevádzkovateľa.

Sprostredkovateľ je povinný vopred informovať prevádzkovateľa o poverení ďalšieho sprostredkovateľa, ak sa poverenie vykonalo na základe všeobecného písomného súhlasu.

S OHĽADOM NA POVAHU, ROZSAH A ÚČEL SPRACÚVANIA OSOBNÝCH ÚDAJOV A NA RIZIKÁ s rôznou pravdepodobnosťou a závažnosťou pre práva fyzickej osoby je prevádzkovateľ povinný prijať vhodné technické a organizačné opatrenia na zabezpečenie a preukázanie toho, že spracúvanie osobných údajov sa vykonáva v súlade s týmto zákonom. Uvedené opatrenia je prevádzkovateľ povinný podľa potreby aktualizovať.

Prevádzkovateľ je povinný zaviesť štandardnú ochranu osobných údajov, ktorá spočíva v prijatí primeraných technických a organizačných opatrení na zabezpečenie spracúvania osobných údajov len na konkrétny účel, minimalizácie množstva získaných osobných údajov a rozsahu ich spracúvania, doby uchovávania a dostupnosti osobných údajov.

PREVÁDZKOVATEĽ JE POVINNÝ ZABEZPEČIŤ, aby osobné údaje neboli bez zásahu fyzickej osoby štandardne prístupné neobmedzenému počtu fyzických osôb. Prevádzkovateľ a zástupca prevádzkovateľa, ak bol poverený, je povinný viesť záznam o spracovateľských činnostiach, za ktoré je zodpovedný.

Sprostredkovateľ a zástupca sprostredkovateľa, ak bol poverený, je povinný viesť záznam o kategóriách spracovateľských činností, ktoré vykonal v mene prevádzkovateľa. Záznamy sa vedú v listinnej podobe alebo elektronickej podobe. Obe tieto povinnosti sa nevzťahujú na zamestnávateľa s menej ako 250 zamestnancami, ak nie je pravdepodobné, že spracúvanie osobných údajov, ktoré vykonáva, povedie k riziku ochrany práv dotknutej osoby, ak je spracúvanie osobných údajov príležitostné alebo ak nezahŕňa osobitné kategórie osobných údajov podľa § 16 ods. 1 zákona alebo osobné údaje týkajúce sa uznania viny za spáchanie trestného činu alebo priestupku podľa § 17 zákona o ochrane osobných údajov.

Prevádzkovateľ a sprostredkovateľ sú povinní zabezpečiť, aby fyzická osoba konajúca za prevádzkovateľa alebo sprostredkovateľa, ktorá má prístup k osobným údajom, spracúvala tieto údaje len na základe pokynov prevádzkovateľa alebo podľa osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná.

PREVÁDZKOVATEĽ, KTORÝ JE ZAMESTNÁVATEĽOM DOTKNUTEJ OSOBY, JE OPRÁVNENÝ podľa § 78 ods. 3 zákona o ochrane osobných údajov poskytovať jej osobné údaje alebo zverejniť jej osobné údaje v rozsahu titul, meno, priezvisko, pracovné zaradenie, služobné zaradenie, funkčné zaradenie, osobné číslo zamestnanca alebo zamestnanecké číslo zamestnanca, odborný útvar, miesto výkonu práce, telefónne číslo, faxové číslo, adresa elektronickej pošty na pracovisko a identifikačné údaje zamestnávateľa, ak je to potrebné v súvislosti s plnením pracovných povinností, služobných povinností alebo funkčných povinností dotknutej osoby.

RadA!

•    Poskytovanie osobných údajov alebo zverejnenie osobných údajov nesmie narušiť vážnosť, dôstojnosť a bezpečnosť dotknutej osoby.

•    Pri spracúvaní osobných údajov na účel archivácie alebo na štatistický účel je prevádzkovateľ a sprostredkovateľ povinný prijať primerané záruky pre práva dotknutej osoby. Tieto záruky obsahujú zavedenie primeraných a účinných technických a organizačných opatrení najmä na zabezpečenie dodržiavania zásady minimalizácie údajov a pseudonymizácie.

•    Prevádzkovateľ a sprostredkovateľ pri prijímaní bezpečnostných opatrení a pri posudzovaní vplyvu na ochranu osobných údajov postupuje primerane podľa medzinárodných noriem a štandardov bezpečnosti.

Ing. Zuzana Cingelová

§ 17 zákona č. 18/2018 Z. z.

Prevádzkovateľom na účel spracúvania osobných údajov v registri trestov podľa osobitného predpisu môže byť len štátny orgán. Spracúvať osobné údaje týkajúce sa uznania viny za spáchanie trestného činu alebo priestupku alebo súvisiacich bezpečnostných opatrení možno len na základe osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, ktoré poskytujú primerané záruky ochrany práv dotknutej osoby.

§ 78 zákona č. 18/2018 Z. z.

(2) Prevádzkovateľ môže spracúvať osobné údaje bez súhlasu dotknutej osoby aj vtedy, ak spracúvanie osobných údajov je nevyhnutné pre potreby informovania verejnosti masovokomunikačnými prostriedkami a ak osobné údaje spracúva prevádzkovateľ, ktorému to vyplýva z predmetu činnosti; to neplatí, ak spracúvaním osobných údajov na takýto účel prevádzkovateľ porušuje právo dotknutej osoby na ochranu jej osobnosti alebo právo na ochranu  súkromia alebo takéto spracúvanie osobných údajov bez súhlasu dotknutej osoby vylučuje osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná.

(3) Prevádzkovateľ, ktorý je zamestnávateľom dotknutej osoby, je oprávnený poskytovať jej osobné údaje alebo zverejniť jej osobné údaje v rozsahu titul, meno, priezvisko, pracovné zaradenie, služobné zaradenie, funkčné zaradenie, osobné číslo zamestnanca alebo zamestnanecké číslo zamestnanca, odborný útvar, miesto výkonu práce, telefónne číslo, faxové číslo, adresu elektronickej pošty na pracovisko a identifikačné údaje zamestnávateľa, ak je to potrebné v súvislosti s plnením pracovných povinností, služobných povinností alebo funkčných povinností dotknutej osoby. Poskytovanie osobných údajov alebo zverejnenie osobných údajov nesmie narušiť vážnosť, dôstojnosť a bezpečnosť dotknutej osoby.